Cosa nasconde una VPN e cosa lascia in bella vista

L’affermazione che una VPN ti renda anonimo è il mito più costoso della privacy dei consumatori, perché è per metà vera e la metà falsa è quella su cui le persone fanno affidamento. Un tunnel nasconde davvero la tua destinazione alla rete su cui sei seduto e nasconde il tuo indirizzo di casa al sito che visiti. Non nasconde chi sei quando accedi, cosa porta il tuo browser o cosa può osservare l’operatore della VPN. La domanda utile non è mai se una VPN ti nasconde, ma nascosto da quale osservatore, per quale traffico.

Il mito: un tunnel è un interruttore di anonimato

Una VPN cifra il percorso tra il tuo dispositivo e il server VPN, poi inoltra le tue richieste dall’indirizzo del server. Tutto ciò che invii lungo quel percorso è nascosto all’operatore Wi-Fi e al provider davanti al tunnel. È un cambiamento reale, ed è per questo che una rete d’albergo non vede più quali siti apri. Non è anonimato, perché il tunnel sposta il punto di osservazione invece di eliminarlo.

La correzione conta nella pratica. Se accedi a un account di lavoro tramite una VPN, il sito conosce ancora l’account. Se il browser conserva un cookie di una rete pubblicitaria, il tunnel non lo cancella. Se il client è configurato per escludere il traffico locale, quel traffico non entra mai nel tunnel. Un lucchetto chiuso descrive il tunnel, non la somma di ciò che hai rivelato.

Cosa perde e cosa conserva la rete di accesso

La rete di accesso, cioè l’operatore Wi-Fi o il provider che porta la tua connessione fino al server VPN, vede ancora che esiste una connessione VPN. Può registrare l’indirizzo del punto finale, quando ti sei connesso, quanto è durata la sessione e all’incirca quanti dati si sono mossi. Un’analisi del traffico di quella forma può essere informativa anche quando il contenuto è illeggibile, ed è per questo che cifrato e invisibile sono affermazioni diverse.

Conserva anche tutto ciò che gli hai detto direttamente: un accesso a un portale captive, un numero di camera, un pagamento per l’accesso. E può ancora vedere il DNS se il client o il resolver di sistema invia query fuori dal tunnel. Quella fuga è comune nelle configurazioni a tunnel diviso e sui dispositivi che conservano il server DNS del router o dell’operatore. Controlla il resolver in uso mentre sei connesso, non solo l’indirizzo di uscita.

Cosa riconosce ancora il sito web

Il sito vede l’indirizzo di uscita del server VPN, non il tuo indirizzo di casa, per le connessioni che usano il tunnel. È tutto il cambiamento a livello IP. Ciò che vede oltre l’indirizzo è invariato: l’account con cui accedi, i cookie che ha impostato prima, il browser e il sistema operativo che presenti e il momento delle tue richieste. Un sito che ti conosce già non diventa un estraneo perché l’indirizzo di origine è cambiato.

La posizione merita una riga propria. Un sito che chiede la posizione al browser riceve una risposta controllata dal permesso del browser, non dalla VPN. Il GPS di un telefono è indipendente dal tunnel. Per questo un indirizzo che si geolocalizza in un altro paese mentre la mappa mostra ancora la tua città non è un guasto della VPN; sono due canali di posizione diversi che non concordano.

L’impronta digitale è l’altra metà. Le dimensioni dello schermo, i caratteri, il fuso orario, la lingua e l’output canvas possono distinguere i browser anche quando l’indirizzo è condiviso con migliaia di altri utenti. Una VPN cambia un input di quel profilo e lascia il resto intatto.

Cosa può vedere l’operatore

L’operatore termina il tuo tunnel e inoltra la richiesta, quindi si trova dove prima si trovava il tuo provider. Può vedere gli indirizzi di destinazione e, senza un client hello cifrato, i nomi host che richiedi; vede le query DNS se usi il suo resolver; vede volume e momento. Non può leggere il contenuto di una sessione HTTPS senza intercettarla con un certificato di cui il tuo dispositivo si fida, e quello è un attacco diverso e più rumoroso.

La visibilità non è la conservazione. Un provider può essere tecnicamente in grado di osservare una richiesta e comunque non registrarla, oppure registrare i metadati della connessione scartando il contenuto. La domanda onesta è cosa la policy e la giurisdizione del provider impongono di conservare, e un badge senza log non risponde. Tratta l’operatore come una parte a cui scegli di affidare i tuoi metadati.

Cosa conserva il dispositivo, con o senza tunnel

Niente del tunnel arriva dentro il dispositivo. La cronologia resta nel browser, i download restano nel file system e un’app con accesso al microfono o allo schermo conserva quell’accesso. Un software di sorveglianza sulla macchina può leggere i dati prima della cifratura o dopo la decifratura, ed è per questo che una VPN non è una difesa contro un endpoint compromesso.

Lo stesso vale per gli account. Un cookie di sessione copiato dal dispositivo funziona da qualsiasi indirizzo, e una password riutilizzata tra siti collega identità che nessun tunnel separa. Se la minaccia che ti preoccupa è qualcuno che tiene in mano il dispositivo, la VPN non la risolve.

Verifica la copertura che hai davvero comprato

Verifica le proprietà su cui conti invece dell’affermazione di marketing. Con il tunnel attivo, controlla l’indirizzo pubblico, il resolver DNS e il percorso IPv6. Un tunnel solo IPv4 su una rete a doppio stack può lasciare il traffico IPv6 completamente fuori. La guida di EFF per scegliere una VPN pone la stessa domanda come modello di minaccia e non come classifica di prodotti.

Poi verifica il comportamento in caso di guasto. Disconnetti il tunnel e conferma se il traffico si ferma o ricade sul percorso diretto; dipende dall’impostazione del kill switch del client, non dal nome del protocollo. Infine, elenca le app e i prefissi che il client esclude. Il tunnel diviso è dove vivono la maggior parte delle sorprese, perché la copertura che hai comprato è quella che il client è configurato a fornire.